#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
DarkBlinders провела кампанию кибершпионажа в период с августа по октябрь 2026 года, нацеленную на государственные структуры Израиля, Курдистана и, возможно, стран Персидского залива. Для этого использовались фишинговые страницы для кражи учётных данных и загрузчик, стилизованный под StarkMeet, который обеспечивал персистентность через RuntimeBroker, регистрировал жертв через GitHub и выборочно развертывал бэкдор в оперативной памяти для выполнения команд PowerShell и кражи данных. Около десяти систем вышли на связь, две из них были активированы, при этом было выведено не менее 1 ГБ данных.
-----

DarkBlinders проводила активную кампанию кибершпионажа в период с августа по октябрь 2026 года, нацеленную на Израиль, Курдистанский регион Ирака, а также, вероятно, на государственные и дипломатические структуры стран Персидского залива. В ходе кампании использовалась фишинговая инфраструктура, имитирующая Министерство иностранных дел Кувейта, Генеральный секретариат Совета сотрудничества арабских государств Персидского залива, государственные веб-почтовые сервисы, Google Drive и структуры регионального правительства Курдистана. Поддельные страницы Outlook Web App собирали имена пользователей и пароли через управляемые злоумышленником конечные точки `/owa/auth.owa`, в то время как поддельные интерфейсы облачных хранилищ обеспечивали доставку файлов, контролируемых злоумышленниками. Эти страницы для кражи учётных данных не эксплуатировали уязвимости и не осуществляли непосредственную доставку ВПО.

Отдельная цепочка доставки использовала приложение для видеоконференций StarkMeet в качестве приманки. Неподписанный пакет Inno Setup устанавливал видимый клиент для конференций в каталог `%LOCALAPPDATA%\StarkMeet`, а вредоносные компоненты — в каталог `%LOCALAPPDATA%\Microsoft\RuntimeBroker`. Приманка обеспечивала интерфейс, выглядящий функциональным, однако функция Join всегда завершалась ошибкой, и в ней отсутствовали какие-либо значимые возможности сетевой активности или доставки полезной нагрузки. Вредоносная ветвь использовала подписанный .NET-хост и загрузчик на основе AppDomainManager. Файл `RuntimeBroker.dll` обеспечивал закрепление, собирал метаданные хоста и регистрировал зараженные системы в репозитории GitHub с названием `myLic`.

Загрузчик содержал персональный токен доступа GitHub и использовал аккаунт PeakyBlindersTeam для управления. Отчеты о хостах включали сведения о машине, пользователе, домене, сервере входа, часовом поясе, языке, раскладках клавиатуры, местном времени, статусе закрепления и информацию об антианалитике. Операторы просматривали эти записи перед избирательной активацией целей. Историческое содержимое репозитория предоставляло ключевой материал, позволявший RuntimeBroker.dll расшифровывать и загружать RuntimeBrokerApi.dll непосредственно в оперативную память, что снижало вероятность обнаружения на основе анализа содержимого диска.

Бэкдор второй стадии использовал другой встроенный токен GitHub и репозиторий `myCode` для получения задач и обмена данными, при этом в качестве резервного ретранслятора был доступен Cloudflare Worker. В него был встроен файл `PsProxy.dll`, который выполнял команды PowerShell через встроенный в процесс .NET runspace без запуска `powershell.exe`. ВПО также поддерживала ротацию учётных данных через публичные комментарии в репозитории Microsoft/vscode на GitHub, что позволяло операторам заменять учётные записи, репозитории и токены в случае нарушения доступа.

Примерно десять систем зарегистрировались в `myLic`, однако активация через `myCode` была выполнена только на двух из них: в облачной среде правительства Региона Курдистан и на устройстве высокопоставленного представителя израильского сектора безопасности. Подтвержденная активность включала кражу учетных данных и эксфильтрацию не менее 1 ГБ данных. Деятельность оценивается как связанная с UNC5795 и Dust Specter, при этом возможны связи с UNC5187 и более широкой экосистемой APT34.

#ParsedReport #CompletenessHigh
11-10-2026

Kimsuky’s Operation GitPower Targeting Ukraine Behind the Scenes of the Russia War

https://www.genians.co.kr/blog/threat_intelligence/operation-gitpower

Report completeness: High

Actors/Campaigns:
Kimsuky (motivation: cyber_espionage)
Gitpower (motivation: cyber_espionage)
Konni

Threats:
Spear-phishing_technique

Victims:
Ukrainian diplomatic experts, Ukrainian security experts, Ukrainian international policy experts, Ukrainian civil society organizations, Ukrainian government agencies, Japanese speaking users, South korean experts on north korean affairs

Industry:
Military, Government

Geo:
Ukrainian, Asian, Korean, Japan, Asia, Korea, South korea, North korea, Russia, Russian, Ukraine, Japanese

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1027.009, T1027.013, T1033, T1036, T1036.005, T1036.007, T1041, T1053.005, T1057, have more...

IOCs:
Domain: 62
Email: 37
File: 39
Path: 4
IP: 6
Url: 3
Command: 1
Hash: 85
BrowserExtension: 0

Soft:
Zoom, Gmail, curl, m meet, mail,”, m, to, Task Scheduler, Windows Task Scheduler, m were, ler, have more...

Algorithms:
base64, md5, zip

Functions:
Replace

Win API:
ryptStringToBinaryA fu

Languages:
powershell, vbscript, php

Platforms:
apple

#ParsedReport #ExtractedSchema

Classified images:
windows: 9, code: 4, schema: 2, chats: 1, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Kimsuky расширил операцию GitPower в рамках кампании кибершпионажа, нацеленной на украинских экспертов посредством целевого фишинга, основанного на ответных письмах. Архивы с паролем и поддельные установщики Zoom доставляли обфусцированные полезную нагрузки в форматах LNK, VBS и PowerShell, которые собирали системные данные, обеспечивали закрепление через запланированные задачи, загружали результаты через GitHub и взаимодействовали с TCP-серверами C2.
-----

В отчёте кампания кибершпионажа, направленная против украинских экспертов в области дипломатии, безопасности, международной политики и гражданского общества, приписывается группе Kimsuky, связанной с Северной Кореей. Деятельность оценивается как расширение операции Operation GitPower и, возможно, направлена на получение разведданных о войне России и Украины, военных развёртываниях и потерях Северной Кореи, военнопленных, а также о сотрудничестве Южной Кореи и Украины. С цельювыми жертвами устанавливали контакт посредством целевого фишинга, основанного на ответных сообщениях, включая приглашения выступить на корейской конференции по кибербезопасности и просьбы рассмотреть аналитические отчёты. Первоначальные электронные письма, как правило, не содержали ссылок или вложений; вредоносное содержимое отправлялось только после того, как получатель отвечал, что помогало верифицировать цели и обходить средства защиты электронной почты.

Последующие сообщения содержали архивы с паролем, в которых находились файлы LNK, замаскированные под документы PDF, часто наряду с легитимными HTML-файлами или документными приманками. Файлы LNK использовали двойные расширения и значки PDF, загружали скрипты с GitLab или GitHub, сохраняли их под именами файлов, связанными с VBE или PowerShell, и выполняли их через компоненты сценариев Windows. Скрипты применяли подстановку строк и обфускацию Base64, обходили политику выполнения PowerShell, скрывали окна выполнения, собирали системную информацию и передавали результаты через API GitHub или другую инфраструктуру, контролируемую злоумышленниками. Связанные темы приманок включали инициативы мира, исследовательские отчеты, политические документы на японском языке и поддельный установщик Zoom.

Поддельный исполняемый файл Zoom представлял собой неподписанный 64-разрядный загрузчик, содержащий VBS- и PowerShell-скрипты, закодированные в Base64. Он создавал вредоносные файлы, одновременно запуская легитимный установщик Zoom, чтобы скрыть компрометацию. Оба варианта — на основе LNK и Zoom — обеспечивали закрепление (persistence) посредством запланированных задач, названия которых имитировали обновления легитимного программного обеспечения, в том числе OneDriveUpdateScheduler, Zoom-Auto-Installer и GoogleUpdateTaskMachineUA. Скрипты выполнялись с интервалом от одной до 30 минут, устанавливали соединение с отдельным TCP-сервером управления (command-and-control) на порту 12345, аутентифицировались с использованием захардкоженного пароля в открытом виде, загружали дополнительные PowerShell-задачи, отправляли файлы с результатами и удаляли переданные или временные файлы.

Повторное использование инфраструктуры, сходство кода, паттерны обфускации, имена репозиториев, методы сбора данных и поведение C2 связали украинскую активность с предыдущими кампаниями Operation GitPower. Ключевые возможности для обнаружения включают корреляцию выполнения LNK-файлов на основе архивов, загрузок с помощью curl или PowerShell из сервисов Git, выполнения VBE, подозрительных запланированных задач, активности в публичных пользовательских каталогах, загрузки данных на GitHub и последующих TCP-соединений C2.

#ParsedReport #CompletenessMedium
11-10-2026

GhostAction Phishing Campaign

https://opensourcemalware.com/blog/ghostaction-phishing-campaign

Report completeness: Medium

Actors/Campaigns:
Ghostaction

Threats:
Supply_chain_technique

Victims:
Open source developers, Software development sector

Geo:
Moscow, Bulgaria

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1036.005, T1041, T1056.003, T1059.007, T1071.001, T1078.004, T1111, T1195.002, T1528, have more...

IOCs:
Domain: 7
Email: 1
IP: 1
Url: 10
Hash: 5
File: 2

Soft:
Chrome, Gmail, Slack, SendGrid, Anthropic, OpenAI

Algorithms:
sha256

Win API:
ARC

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
GhostAction расширил свою кампанию, используя фишинг в отношении разработчиков с открытым исходным кодом через домен-двойник `my-github.com`, применяя персонализированные уведомления GitHub о безопасности и набор инструментов reverse-proxy для кражи учетных данных и OAuth-доступа. Набор инструментов запрашивал разрешения на доступ к репозиториям, workflow и организациям, что позволяло осуществлять компрометацию репозиториев, внедрение вредоносных GitHub Actions, а также кражу учетных данных CI/CD, облачных сервисов и служб.
-----

GhostAction расширилась от вредоносных рабочих процессов GitHub Actions до целенаправленного фишинга в отношении разработчиков open-source. Операторы использовали домен-двойник `my-github.com`, размещенный на IP-адресе `193.32.204.199`, для отправки персонализированных писем с уведомлениями о безопасности, имитирующих GitHub. В сообщениях получателям сообщалось о якобы имевшем место входе из Москвы и предлагалось перейти по уникальным путям на фишинговом домене. Приманка была разработана так, чтобы оказывать давление на администраторов репозиториев, подчеркивая потенциальную компрометацию репозиториев и организаций.

Восстановленный исходный код страницы и телеметрия браузера свидетельствуют о том, что сайт представлял собой фишинговый набор на основе обратного прокси, а не статическую копию GitHub. Он проксировал содержимое GitHub через поддомены с подстановочным символом, такие как `github.my-github.com`, `api.my-github.com` и `collector.my-github.com`, одновременно переписывая маршруты GitHub и собирая учетные данные. Набор передавал имена пользователей, пароли и данные, связанные с аутентификаторами, на инфраструктуру, контролируемую злоумышленниками. Данные HAR подтверждают, что учетные данные отправлялись на фишинговый источник, а жертвам отображался запрос на ввод кода аутентификатора, хотя полученные доказательства не подтверждают факт отправки отображаемого OTP-кода приложения.

Фишинговый набор инструментов также автоматизировал процесс авторизации устройства через GitHub OAuth. Внедрённый JavaScript запрашивал области доступа `repo`, `workflow` и `read:org`, сохранял данные потока авторизации устройства в cookie `vh_device`, использовал конечную точку `/vh_beacon` и отправлял полученный токен злоумышленнику по TCP-порту 8443. Запрошенные разрешения позволяли выполнять перечисление репозиториев, доступ к организации и изменение рабочих процессов GitHub Actions. Идентифицированный идентификатор клиента OAuth — `Ov23ctrqCqZ79UaYKwyq`.

Данный доступ поддерживает задокументированную активность GhostAction, направленную на компрометацию сопровождающих (maintainers) и внедрение вредоносных рабочих процессов в репозитории. Эти рабочие процессы осуществляют поиск в репозиториях и истории Git учетных данных, связанных с AWS, GitHub, GitLab, Slack, Google, SendGrid, Anthropic, OpenAI и другими сервисами, после чего выводят результаты на адрес `193.32.204.199`. Таким образом, фишинговая инфраструктура обеспечивает путь для получения первоначального доступа, который может привести к компрометации репозиториев, внедрению рабочих процессов, краже секретов CI/CD и облачных сервисов, а также к последующим атакам на цепочку поставок.

В ходе кампании использовались изменяемые перенаправления и условный контент, включая нерелевантные страницы, вероятно, с целью обхода автоматического сканирования. Специалисты по защите должны провести расследование домена, отправителя, путей URL, разрешений OAuth, сессий GitHub, ключей, вебхуков, рабочих процессов, артефактов релизов и активности в репозиториях. Все потенциально скомпрометированные учетные данные, токены публикации пакетов, облачные ключи и секреты CI/CD следует отозвать или заменить.

#ParsedReport #CompletenessLow
09-10-2026

It Always Comes Back to DNS: Iranian VPN-over-DNS Activity in the 2026 Conflict

https://dti.domaintools.com/securitysnacks/it-always-comes-back-to-dns-iranian-vpn-over-dns-activity-in-the-2026-conflict

Report completeness: Low

Actors/Campaigns:
Oilrig

Threats:
Dns_tunneling_technique
Smuggling_technique
Trickbot
Sunburst

Victims:
Iranian regime, Dns infrastructure

Geo:
Iran, Iranian, Israel, Asia

ChatGPT TTPs:
do not use without manual check
T1001, T1071.004, T1572

IOCs:
Domain: 8

Soft:
Linux, Windows Powershell, Cloudflare

Algorithms:
base64

Win Services:
Bits

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Предположительно, операция DNS-over-VPN генерировала исключительно интенсивный трафик TXT-записей через домен `supaghost.cc` и более чем 100 связанных доменов, многие из которых имеют доменную зону `.ir`. В инфраструктуре использовались делегированные DNS-серверы и несколько провайдеров DNS-туннелирования для ретрансляции двунаправленных закодированных данных, что потенциально могло обеспечивать передачу данных или резервное копирование в больших масштабах, хотя содержание данных и атрибуция остаются неподтвержденными.
-----

1 марта 2026 года в ходе мониторинга было зафиксировано экстремальное увеличение активности DNS, связанной с доменом `supaghost.cc`. Активность в основном состояла из записей DNS TXT и достигала 500 000 наблюдений в секунду, что привело к значительному накоплению необработанной очереди. Структура полезной нагрузки и паттерны запросов и ответов соответствовали коммуникациям VPN-over-DNS, при которых DNS-запросы и ответы обеспечивают передачу двунаправленного трафика в средах, где традиционные протоколы VPN могут блокироваться или контролироваться.

Наблюдаемый трафик, по всей видимости, использовал записи DNS для сегментации и ретрансляции данных. В инфраструктуре `supaghost.cc` трафик был связан с третьим меткой и делегирован хостам именованных серверов, расположенных под корневой доменной зоной. Эти именованные серверы часто резолвились в отдельные виртуальные частные серверы, которые, по сообщениям, были защищены Cloudflare. Использование записей TXT обеспечивало механизм для передачи произвольных закодированных данных, в то время как запросы DNS позволяли как входящую передачу команд или данных, так и исходящую отправку.

В течение примерно 24 часов после эскалации активность распространилась с исходного домена на более чем 100 доменов. Домены с иранским TLD `.ir` были значительно перепредставлены, а многие домены демонстрировали схожие паттерны запросов, сконцентрированные в течение нескольких дней, несмотря на то, что были зарегистрированы в период с сентября по ноябрь 2025 года. Несколько дополнительных доменов с высокой пропускной способностью принадлежали существующим ранее сервисам DNS-туннелирования в Евразии и Южной Азии, что указывает на диверсификацию через нескольких провайдеров транспорта или инфраструктурных кластеров.

По имеющимся данным, внешние индикаторы указывали на то, что часть трафика исходила из Ирана или из близлежащих к нему регионов, с дальнейшей транзитной передачей в расположение союзника. Хронология событий совпала с усилением бомбардировок Ирана со стороны США и Израиля, однако в отчете не устанавливается атрибуция или цель передаваемых данных. Наблюдаемый масштаб, предварительная подготовка инфраструктуры и быстрое распределение трафика через несколько DNS-туннелей были оценены как потенциально соответствующие экстренной передаче данных в больших объемах или деятельности по резервному копированию. Дешифровка не выполнялась, в связи с чем содержание данных и точная оперативная цель остаются неподтвержденными.